CVE-2026-9436: Totolink A8000RU: injeção de comando de SO em setL2tpServerCfg (cstecgi.cgi)

Visão geral

Foi relatada uma falha de injeção de comando (CWE-77) na interface de gerenciamento web do firmware 7.1cu.643_b20200521 do Totolink A8000RU. O problema envolve a função setL2tpServerCfg, exposta por /cgi-bin/cstecgi.cgi, em que a manipulação do argumento enable pode levar a injeção de comando de sistema operacional. A entrada foi publicada pela VulDB, e o registro informa que um exploit público foi divulgado.

Impacto

O registro descreve o ataque como executável remotamente. A pontuação base CVSS 3.1 de 9.8 (crítica), atribuída pela VulDB e por seu CNA, classifica os impactos de confidencialidade, integridade e disponibilidade como altos. Em um dispositivo embarcado, a injeção de comando bem-sucedida normalmente permitiria executar comandos com os privilégios do serviço web. Isso é uma inferência a partir da classe da fraqueza, e não uma afirmação feita pelas fontes.

Produtos e versões afetados

Totolink A8000RU, versão 7.1cu.643_b20200521 (a única versão listada no registro)
Nenhuma outra versão ou revisão de hardware é listada nas fontes consultadas.
O registro não contém versão corrigida.

Status de exploração

O registro afirma que um exploit foi publicado e pode ser utilizado. O catálogo KEV da CISA não lista esta CVE, e o campo de exploração do SSVC está definido como poc (prova de conceito). Não há exploração confirmada no mundo real nas fontes consultadas.

Correção e mitigação

O registro não lista correção do fabricante. Consulte o site do fabricante em https://www.totolink.net/ para atualizações de firmware e aplique qualquer atualização que trate deste componente.
Se não houver correção disponível, restrinja o acesso à interface de gerenciamento web: evite expô-la à internet, limite-a a redes de gerenciamento confiáveis e desative o gerenciamento remoto sempre que possível.
Revise as configurações dos dispositivos e confirme que o recurso de servidor L2TP está desativado caso não seja necessário.
Onde os dispositivos não recebem mais atualizações do fabricante, planeje a substituição. Trata-se de orientação geral, não de fato declarado no registro.

Orientação para detecção

Monitore os logs de acesso e o tráfego de rede direcionado à interface de gerenciamento, especialmente requisições de origens inesperadas.
Procure alterações inesperadas de configuração no dispositivo e conexões de saída incomuns originadas por ele.
Acompanhe atualizações na entrada da VulDB e no registro do NVD, pois o status de origem está como Deferred e os detalhes podem mudar.

Limitações das informações disponíveis

O registro não inclui aviso do fabricante, versão corrigida nem correção oficial. O formato exato das requisições não é descrito aqui de propósito. Os valores de EPSS do registro (probabilidade 0.03456, percentil 0.88759, datados de 2026-10-13) devem ser verificados na fonte antes do uso. A alcançabilidade da falha depende da configuração do dispositivo, que as fontes não descrevem.

Perguntas frequentes

Esta CVE está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE. O registro informa que um exploit público foi divulgado e o campo de exploração do SSVC é poc, mas não há exploração confirmada no mundo real nas fontes consultadas.

Existe correção para esta vulnerabilidade?

O registro não lista versão corrigida. Consulte o fabricante por atualizações de firmware e, enquanto nenhuma estiver disponível, restrinja o acesso à interface de gerenciamento web.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.